Le verdict en trois phrases
Un pentest en boîte grise d'une application web métier coûte en 2026 de 4 000 à 12 000 EUR HT dans la métropole lilloise, pour 5 à 10 jours d'audit. Le budget complet à prévoir avant un audit client ou une certification ISO 27001 inclut aussi les corrections (2 000 à 8 000 EUR HT) et un retest (1 000 à 2 500 EUR HT). Un DSI qui ne budgète que le test lui-même sous-estime la facture finale de 40 à 60 %.
Ce qui fait varier le prix du pentest
Le prix dépend d'abord du nombre de jours d'auditeur, et ce nombre dépend de la surface à tester : nombre de rôles utilisateurs, d'écrans, d'API exposées et de flux sensibles (paiement, export de données, administration). Un prestataire qualifié PASSI par l'ANSSI facture en moyenne 900 à 1 400 EUR par jour, contre 650 à 900 EUR pour un auditeur indépendant non qualifié. Pour une certification ISO 27001 ou un questionnaire sécurité d'un grand compte, la qualification PASSI n'est pas toujours exigée, mais elle rassure l'auditeur et le client.
| Périmètre de l'application | Jours d'audit | Budget pentest HT | Rapport et restitution |
|---|---|---|---|
| Application simple, 2 rôles, 20 écrans | 4 à 5 jours | 4 000 à 6 000 EUR | rapport technique et synthèse dirigeants |
| Application métier, 4 rôles, API REST | 6 à 7 jours | 6 000 à 9 000 EUR | rapport, démonstrations d'exploitation |
| Application multi-tenant avec SSO | 8 à 10 jours | 9 000 à 12 000 EUR | rapport, plan de remédiation priorisé |
| Ajout application mobile associée | +3 à 5 jours | +3 000 à 6 000 EUR | section dédiée |
| Test d'infrastructure exposée | +2 à 3 jours | +2 000 à 3 500 EUR | cartographie des services |
| Retest après corrections | 1 à 2 jours | 1 000 à 2 500 EUR | attestation de correction |
La boîte grise, où l'auditeur reçoit des comptes de test pour chaque rôle, offre le meilleur rapport coût et couverture pour une application métier. La boîte noire coûte moins de jours mais laisse de côté la majorité des failles d'autorisation, qui sont justement les plus fréquentes.
Vulnérabilités fréquentes et coût de correction
Sur les applications métiers développées vite, les mêmes catégories de l'OWASP Top 10 reviennent dans la plupart des rapports. Le coût de correction varie selon l'architecture et la qualité du code existant.
| Vulnérabilité OWASP | Fréquence observée (ordre de grandeur) | Exemple concret | Coût de correction HT |
|---|---|---|---|
| A01 Contrôle d'accès défaillant | très fréquente | un utilisateur lit les dossiers d'un autre client en changeant un identifiant | 1 500 à 4 000 EUR |
| A02 Défaillances cryptographiques | fréquente | mots de passe mal hachés, cookies sans attribut Secure | 500 à 1 500 EUR |
| A03 Injection | moyenne | filtre de recherche concaténé dans une requête SQL | 800 à 2 500 EUR |
| A05 Mauvaise configuration | très fréquente | en-têtes CSP absents, mode debug actif en production | 300 à 1 000 EUR |
| A06 Composants vulnérables | fréquente | bibliothèques non mises à jour depuis 18 mois | 500 à 2 000 EUR |
| A07 Authentification faible | moyenne | absence de limitation des tentatives de connexion | 500 à 1 500 EUR |
| A09 Journalisation insuffisante | fréquente | aucune trace des exports de données | 800 à 2 000 EUR |
Le plan de remédiation doit classer chaque faille par criticité (critique, haute, moyenne, faible), lui associer un responsable et une date. Comptez 2 à 6 semaines pour corriger les failles critiques et hautes, puis le retest qui produit l'attestation attendue par l'auditeur ISO 27001.
Construire le budget complet
Une ETI lilloise prudente répartit son budget sécurité en trois lignes : le pentest initial, une enveloppe de corrections égale à 50 à 70 % du prix du test, et le retest. Si l'application est maintenue par un prestataire, vérifiez que le contrat de maintenance couvre les mises à jour de sécurité. Chez Kolonell, la maintenance Premium à 120 000 FCFA (180 EUR) par mois inclut la mise à jour des dépendances et la surveillance des vulnérabilités connues.
Mini cas pratique
Besoin d'un site web professionnel ?
Kolonell crée des sites web qui attirent des clients, optimisés pour le marché sénégalais. Devis gratuit en 2 minutes.
Marc, DSI d'une ETI de distribution à Lille, doit fournir un rapport de pentest à un client grand compte sous trois mois. Son application compte 4 rôles et une API REST : 7 jours à 1 100 EUR, soit 7 700 EUR HT. Le rapport remonte 2 failles critiques de contrôle d'accès et 5 failles moyennes, corrigées pour 4 800 EUR HT. Le retest coûte 1 800 EUR HT. Budget total : 14 300 EUR HT, à comparer au contrat de 380 000 EUR par an conditionné à ce rapport, soit 3,8 % de la valeur annuelle du contrat.
FAQ
La qualification PASSI est-elle obligatoire pour une certification ISO 27001 ?
Non, la norme exige des tests de sécurité adaptés, pas un prestataire qualifié. Un auditeur PASSI coûte 900 à 1 400 EUR par jour et facilite toutefois la discussion avec l'auditeur de certification et les clients publics.
Combien de temps entre la commande et le rapport ?
Comptez 2 à 4 semaines d'attente pour réserver un auditeur, 5 à 10 jours de test, puis 5 jours ouvrés pour le rapport. Prévoyez donc 6 à 8 semaines au total.
Faut-il tester en production ou en préproduction ?
La préproduction est préférable si elle reflète fidèlement la production, données anonymisées comprises. Un test en production impose une fenêtre d'intervention et une assurance du prestataire, souvent 1 à 2 jours de coordination en plus.
À quelle fréquence refaire un pentest ?
Une fois par an et après chaque évolution majeure, par exemple l'ajout d'une API publique ou d'un module de paiement. Un retest ciblé de 1 à 2 jours suffit pour une évolution limitée.
Peut-on réduire le coût des corrections ?
Oui, en intégrant la sécurité dès le développement : revue de code et analyse automatique des dépendances réduisent de 30 à 50 % le nombre de failles constatées lors du pentest.
Parlons de votre projet. Envoyez-nous votre rapport de pentest ou votre périmètre applicatif : nous chiffrons le plan de remédiation, les corrections et le délai avant retest. Devis détaillé sous 48 h. WhatsApp +221 77 596 93 33 ou demande de devis gratuit.
Mohamed Bah
Fondateur, Kolonell
Passionné par le digital et l'entrepreneuriat en Afrique, Mohamed accompagne les entreprises sénégalaises dans leur transformation digitale depuis 2020. Fondateur de Kolonell, il croit que chaque PME mérite une présence en ligne professionnelle et accessible.
